Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →15 papers
2026年版DevSecOpsの実装論：ソフトウェア供給網攻撃、AI支援開発、eBPF観測を前提とした継続的セキュアデリバリの設計・評価
DevSecOpsは、開発・運用・セキュリティの境界を可視化しつつ、ソフトウェア供給網全体にセキュリティ制御を組み込む実践体系として、2026年時点で成熟段階に入った。本研究は、クラウドネイティブ、コンテナ、IaC、SBOM、SLSA、ポリシー・アズ・コード、eBPF観測、AI支援開発という2026年の現実的な環境を前提に、DevSecOpsを「パイプラインの安全化」ではなく「継続的に検証可能なリスク制御システム」として再定式化する。まず、現代的脅威として、依存関係汚染、CI/CD資格情報窃取、署名鍵の不正利用、イメージ汚染、シークレット漏えい、LLMによる脆弱コード生成、プロンプト注入、コードレビュー回避、観測回避を含む攻撃面を整理する。次に、脅威モデルを、資産・信頼境界・攻撃経路・検出可能性・復旧可能性の関係で形式化し、リスクを $R = P(A)\times I(A)\times (1-D(A))$ の形で扱う。提案手法は、事前段階の設計レビュー、コミット時SAST/秘密情報検査、ビルド時SBOM生成と成果物署名、デプロイ時ポリシー検証、実行時eBPF観測と異常検知、事後のフィードバック学習を一貫した制御ループとして統合する。実装では、GitHub Actions、GitLab CI、Tekton、Trivy、Syft、Grype、Semgrep、Open Policy Agent、cosign、in-toto、Falco、Cilium Tetragon、Prometheus、OpenTelemetryを組み合わせ、Kubernetesとコンテナレジストリに接続する。評価では、模擬マイクロサービス環境で誤検知率、検出遅延、ビルド増分時間、ポリシー違反阻止率を測定し、攻撃シナリオ別に従来CI/CDとの差分を示す。その結果、提案方式は供給網攻撃の阻止と運用継続性の両立に有効であり、特にシークレット漏えいと未署名成果物の流通を大幅に抑制した。最後に、AIガバナンス、ポスト量子暗号移行、SRE連携、ソフトウェア部品表の品質保証を含む今後の課題を示す。
Read paper →DevSecOpsMITRE ATT&CKに基づく多段階相関を備えたリスク駆動型DevSecOpsアーキテクチャと、クラウドネイティブCI/CDパイプラインにおける実証的エビデンス
MITRE ATT&CKに基づく多段階相関を備えたリスク駆動型DevSecOpsアーキテクチャと、クラウドネイティブCI/CDパイプラインにおける実証的エビデンス クラウドネイティブアーキテクチャおよび高度に自動化されたCI/CDパイプラインの採用拡大は、ソフトウェア開発ライフサイクルに関連する攻撃対象領域を著しく拡大させた。サプライチェーン侵害や広範に流通した脆弱性の悪用を含む、広く文書化されたインシデントは、文脈に応じた優先順位付け機構および振る舞い相関機構に統合されていない個別のセキュリティ対策が不十分であることを示している。本研究では、静的コード解析、依存関係解析、SBOMの生成および検証、Infrastructure as Codeの検証、実行時の振る舞い検知、ならびに形式的な文脈リスク計算エンジンを統合した、リスク駆動型DevSecOpsアーキテクチャを提示する。本アーキテクチャは、開発および実行のパイプライン全体にわたるイベントの多段階相関のためのオントロジーとしてMITRE ATT&CKフレームワークを利用する。われわれは、CVSSのみに基づくアプローチの限界を批判的に分析し、運用上の文脈化の欠如がしばしば脆弱性の不適切な優先順位付けおよびアラート疲れを招くことを示す。さらに、EPSSにより推定される悪用確率、正規化された技術的影響、および動的な運用露出要因からなる複合関数としてリスクを定式化する。加えて、敵対者の形式的定義、ビルドブロック機構の正当性に関する性質、および敵対的技術間の相関に関する確率モデルを導入する。アーキテクチャは、GitLab CI、SonarQube、Semgrep、Trivy、Syft、Grype、OWASP ZAP、Falco、Suricata、Open Policy Agentを用いてKubernetes環境に実装した。われわれは、2つの異なる組織ドメインに分散した企業向けマイクロサービスの集合を対象に、6か月にわたりシステムを実証的に評価した。その結果、平均修復時間の一貫した削減、偽陽性の相対的減少、ならびに総ビルド時間に対する運用上の影響が限定的であることが示された。実証結果は、形式的なリスクモデリング、脅威インテリジェンス、およびポリシー自動化の統合が、クラウドネイティブ環境におけるDevSecOpsプログラムの運用効果を大幅に向上させうることを示唆している。
Read paper →DevSecOpsタイトル: MITRE ATT&CKに基づく行動テレメトリとSAST、DAST、SCAのCI/CDパイプライン統合のための形式的アーキテクチャを備えた脅威主導型DevSecOps
タイトル: MITRE ATT&CKに基づく行動テレメトリとSAST、DAST、SCAのCI/CDパイプライン統合のための形式的アーキテクチャを備えた脅威主導型DevSecOps 要旨: クラウドネイティブ・アーキテクチャおよび継続的インテグレーション／継続的デリバリー（CI/CD）パイプラインの大規模な採用は、ソフトウェア開発プロセスを大きく変革した。しかし、この自動化は、セキュリティ機構が開発ライフサイクルに体系的に組み込まれない場合、攻撃対象領域を著しく拡大する。SolarWinds のサプライチェーン侵害や脆弱性 CVE-2021-44228（Log4Shell）の悪用といった広く文書化されたインシデントは、コード、依存関係、実行時監視の各セキュリティ統合における不備が、大規模な侵害を許容し得ることを示している。静的解析（SAST）、動的解析（DAST）、ソフトウェア構成分析（SCA）ツールは DevSecOps パイプラインで広く利用されているものの、それらを個別に運用するとアラートが大量に発生し、実際のリスクに基づく優先順位付けを困難にすることが多い。本研究では、セキュリティスキャナの結果を行動テレメトリおよび MITRE ATT&CK フレームワークへの体系的マッピングと統合する、脅威主導型 DevSecOps アーキテクチャを提案する。CI/CD パイプラインにおける残留リスクの計算を、深刻度指標（CVSS）、実行時に観測された悪用の証拠、およびアプリケーションの文脈的クリティカリティを組み合わせて数学的に定式化する。さらに、静的段階で検出された脆弱性を、Falco や Suricata などの検知・可観測性システムから得られる行動指標と相関付ける適応的優先順位付けアルゴリズムを導入する。提案アーキテクチャは、GitLab CI/CD、Kubernetes、および Semgrep、SonarQube、Trivy、Checkov、OWASP ZAP を含む広く利用されているアプリケーションセキュリティツールを基盤とする企業環境に実装した。48 のマイクロサービスと約 320 万行のコードを含む 120 のパイプラインを対象に、6 か月にわたってこのアプローチを実証的に評価した。その結果、平均検出時間（MTTD）、平均修復時間（MTTR）、および本番環境における重大脆弱性の発生件数が有意に減少した。また、行動テレメトリと脅威インテリジェンスに基づいて優先順位付けを行うことで、偽陽性率が大幅に低下することも確認された。これらの結果は、コード解析、サプライチェーンセキュリティ、および MITRE ATT&CK に基づく行動検知の体系的な相関付けにより、現代の CI/CD パイプラインにおける運用リスクを測定可能な形で低減できることを示している。
Read paper →DevSecOpsタイトル: MITRE ATT&CK ベースの行動テレメトリと SAST、DAST、SCA の CI/CD パイプライン統合のための脅威指向 DevSecOps: 形式アーキテクチャ
タイトル: MITRE ATT&CK ベースの行動テレメトリと SAST、DAST、SCA の CI/CD パイプライン統合のための脅威指向 DevSecOps: 形式アーキテクチャ 要旨: クラウドネイティブ・アーキテクチャおよび継続的インテグレーション／継続的デリバリー（CI/CD）パイプラインの大規模な採用は、ソフトウェア開発プロセスを大きく変革した。しかし、この自動化は、セキュリティ機構が開発ライフサイクルに体系的に組み込まれない場合、攻撃対象領域を著しく拡大する。SolarWinds のサプライチェーン侵害や脆弱性 CVE‑2021‑44228（Log4Shell）の悪用といった広く文書化されたインシデントは、コード、依存関係、および実行時監視の統合における不備が、大規模な侵害を許し得ることを示している。静的解析（SAST）、動的解析（DAST）、およびソフトウェア構成分析（SCA）ツールは DevSecOps パイプラインで広く利用されているが、それらを個別に運用すると、多数のアラートが発生し、実際のリスクに基づく優先順位付けが困難になりがちである。本研究では、セキュリティスキャナの結果を行動テレメトリおよび MITRE ATT&CK フレームワークへの体系的マッピングと統合する、脅威指向の DevSecOps アーキテクチャを提案する。CVSS による重大度指標、ランタイムで観測された悪用証拠、ならびにアプリケーションのコンテキスト上の重要度を組み合わせ、CI/CD パイプラインにおける残余リスクの計算を数学的に定式化する。さらに、静的段階で検出された脆弱性と、Falco や Suricata などの検知・可観測性システムから得られる行動指標を相関付ける適応的優先順位付けアルゴリズムを導入する。提案アーキテクチャは、GitLab CI/CD、Kubernetes、および Semgrep、SonarQube、Trivy、Checkov、OWASP ZAP を含む、広く利用されているアプリケーションセキュリティツールを用いた企業環境に実装した。48 のマイクロサービスと約 320 万行のコードを含む 120 のパイプラインに対し、6 か月間にわたり実証的評価を行った。その結果、平均検知時間（MTTD）、平均修復時間（MTTR）、および本番環境における重大脆弱性の発生率が有意に低減した。また、優先順位付けが行動テレメトリおよび脅威インテリジェンスに基づく場合、誤検知率が大幅に減少することも確認された。これらの結果は、コード解析、サプライチェーンセキュリティ、および MITRE ATT&CK ベースの行動検知を体系的に相関させることで、現代の CI/CD パイプラインにおける運用リスクを定量的に低減できることを示している。
Read paper →DevSecOpsタイトル: 暗号学的に検証可能なDevSecOpsパイプラインのオーケストレーション: 形式モデル、自動化アーキテクチャ、およびクラウドネイティブKubernetes環境における実験評価
タイトル: 暗号学的に検証可能なDevSecOpsパイプラインのオーケストレーション: 形式モデル、自動化アーキテクチャ、およびクラウドネイティブKubernetes環境における実験評価 要旨: マイクロサービスベースのアーキテクチャとKubernetesオーケストレーションの採用拡大により、CI/CDパイプラインは現代のソフトウェア工学の中核的要素として確立された。しかし、この自動化はソフトウェアサプライチェーンの攻撃面を大幅に拡大させた。広く文書化されたインシデントは、依存関係、ビルド成果物、またはパイプライン基盤の改ざんが、同時に数千のシステムを侵害し得ることを示している。本研究は、クラウドネイティブ環境におけるDevSecOpsパイプラインの暗号学的に検証可能なオーケストレーションのための形式モデルを提案する。本モデルは、各成果物変換が整合性、真正性、追跡可能性の検証可能な特性を伴う有向非巡回グラフとしてパイプラインを表現する。さらに、暗号学的ハッシュ関数、デジタル署名、およびCVSS脆弱性由来のスコアリングに基づく運用リスクの定量指標を形式化する。この理論的基盤の上に、Sigstore/Cosignによる成果物検証、Open Policy Agentによる宣言的ポリシー、Falcoによる実行時の行動検知、ならびにSAST、SCA、DASTツールによる脆弱性分析を統合したOCV-DevSecOpsと呼ばれる自動化アーキテクチャを開発した。このアーキテクチャはまた、依存関係の追跡可能性とサプライチェーンガバナンスの支援のために、CycloneDX形式のSoftware Bill of Materials (SBOM) を組み込んでいる。42のマイクロサービスと180回のパイプライン実行を含むKubernetesクラスター上で、本提案を実験的に評価した。その結果、重大な脆弱性の平均検出時間の有意な短縮、成果物の追跡可能性の大幅な改善、および重大な欠陥を含むデプロイメント数の削減が示された。さらに、パイプライン全体の実行時間への影響は中程度であり、運用上の実用性は維持された。これらの結果は、必須の暗号学的検証、自動化されたポリシー、および継続的な行動監視の組み合わせが、現代のDevSecOpsパイプラインの安全性を強化する有効な機構を提供することを示唆している。本研究は、問題の数学的形式化、再現可能なアーキテクチャ、および実際のクラウドネイティブ基盤に基づく実証的評価を提供することで貢献する。
Read paper →DevSecOps暗号学的に検証可能なDevSecOpsパイプラインのオーケストレーション: 形式モデル、自動化アーキテクチャ、およびクラウドネイティブKubernetes環境における実験的評価
TITLE: 暗号学的に検証可能なDevSecOpsパイプラインのオーケストレーション: 形式モデル、自動化アーキテクチャ、およびクラウドネイティブKubernetes環境における実験的評価 ABSTRACT: マイクロサービスベースのアーキテクチャとKubernetesオーケストレーションの採用拡大により、CI/CDパイプラインは現代のソフトウェア工学の中核的要素として定着した。しかし、この自動化はソフトウェアサプライチェーンの攻撃対象領域を大幅に拡大させた。広く文書化されたインシデントは、依存関係、ビルド成果物、あるいはパイプライン基盤の改ざんが、数千のシステムを同時に侵害し得ることを示した。本研究は、クラウドネイティブ環境におけるDevSecOpsパイプラインの暗号学的に検証可能なオーケストレーションのための形式モデルを提案する。このモデルは、各成果物変換が整合性、真正性、および追跡可能性に関する検証可能な特性を伴う有向非巡回グラフとしてパイプラインを表現する。さらに、暗号学的ハッシュ関数、デジタル署名、およびCVSS脆弱性に基づくスコアリングから導出される定量的な運用リスク指標を形式化する。この理論的基盤の上に、Sigstore/Cosignによる成果物検証、Open Policy Agentによる宣言的ポリシー、Falcoによるランタイム行動検知、ならびにSAST、SCA、DASTツールによる脆弱性分析を統合した、OCV-DevSecOpsと呼ぶ自動化アーキテクチャを開発した。このアーキテクチャは、依存関係の追跡可能性およびサプライチェーン統治の支援のために、CycloneDX形式のSoftware Bill of Materials (SBOM) も組み込んでいる。我々は、42のマイクロサービスと180回のパイプライン実行からなるKubernetesクラスタ上で本提案を実験的に評価した。その結果、重大脆弱性の平均検出時間の有意な短縮、成果物の追跡可能性の大幅な向上、ならびに重大な欠陥を含むデプロイメント数の減少が示された。さらに、パイプライン総実行時間への影響は中程度であり、運用上の実現可能性は維持された。これらの結果は、暗号学的検証の強制、ポリシーの自動化、および継続的な行動監視の組み合わせが、現代のDevSecOpsパイプラインのセキュリティを強化する有効な機構を提供することを示唆している。本研究は、問題の数学的形式化、再現可能なアーキテクチャ、および実際のクラウドネイティブ基盤に基づく実証的評価を提供することで貢献する。
Read paper →DevSecOpsCI/CDパイプラインにおけるセキュリティの形式的オーケストレーション：MITRE ATT&CK相関と運用メトリクスを備えたDevSecOps向け定量的リスクモデル
TITLE: CI/CDパイプラインにおけるセキュリティの形式的オーケストレーション：MITRE ATT&CK相関と運用メトリクスを備えたDevSecOps向け定量的リスクモデル ABSTRACT: DevOps実践の採用は、自動化、継続的インテグレーション、継続的デリバリーを優先することにより、ソフトウェア開発ライフサイクルを大きく変革した。しかし、CI/CDパイプラインの高速化は、特にソフトウェアサプライチェーン攻撃や脆弱な依存関係の悪用という文脈において、組織の攻撃対象領域を著しく拡大させた。SolarWinds Orion配布チェーンの侵害（SUNBURST）やLog4Shell脆弱性（CVE‑2021‑44228）の大規模悪用といった広く文書化されたインシデントは、ビルド工程で導入された不備や外部依存関係がグローバル規模で影響を伝播し得ることを示している。DevSecOpsパラダイムは開発パイプラインにセキュリティ制御を統合することを提案するが、実運用では依然として、ツールの表層的な統合、定量的リスク指標の欠如、そして自動スキャナの結果と形式的脅威モデルとの整合不足が特徴である。本研究では、増分的リスク分析に基づくCI/CDパイプライン向けの定量的セキュリティオーケストレーションモデルを提案する。このモデルは、パイプラインを有向非巡回グラフとして形式化し、CVSSスコア、EPSSによる推定悪用確率、資産の重要度、および脆弱性の経過時間に関連する時間因子を組み合わせた累積リスク関数を定義する。この定式化に基づき、ビルド工程中に成果物の昇格または拒否を自動的に判定するための動的しきい値を用いる適応的ブロッキング機構を導入する。実装はKubernetes環境上で行い、Semgrep、SonarQube、Trivy、Syft/Grype、OWASP ZAP、Checkovに加え、Falcoによる実行時監視およびMITRE ATT&CKマトリクスとのイベント相関を含む、DevSecOpsエコシステムで広く採用されているツールを活用した。実験評価は、37個のマイクロサービスを含む1,200回のパイプライン実行に対して実施した。結果は、本番環境における重大脆弱性への露出を有意に低減し、パイプライン実行時間に実質的な影響を与えることなく平均修復時間を短縮できることを示した。本研究は、CI/CDパイプラインにおけるリスクの数学的形式化が、より一貫した自動意思決定を可能にし、DevSecOps環境におけるメトリクス駆動のセキュリティガバナンスのための運用基盤を提供することを示している。
Read paper →DevSecOpsタイトル: 脅威モデリングと継続的リスク分析に基づくDevSecOpsパイプラインにおけるセキュリティ制御の適応的オーケストレーションのための形式的かつ定量的に評価されたフレームワーク
タイトル: 脅威モデリングと継続的リスク分析に基づくDevSecOpsパイプラインにおけるセキュリティ制御の適応的オーケストレーションのための形式的かつ定量的に評価されたフレームワーク 要旨: DevOpsプラクティスの採用拡大はソフトウェア開発ライフサイクルを根本的に変革したが、広範な自動化、Infrastructure as Code、複雑なサプライチェーンに起因する新たな攻撃ベクトルも導入した。DevSecOpsは開発パイプラインへのセキュリティの継続的統合を提唱するものの、その実装の大半は依然としてアドホックであり、数学的形式化、厳密な脅威モデリング、ならびに制御の優先順位付けのための適応的メカニズムを欠いている。本研究では、確率的リスクモデリングとMITRE ATT&CKマトリクスとの統合に基づく、DevSecOpsパイプラインにおけるセキュリティ制御の適応的オーケストレーションのための形式的フレームワークを提案する。各ステージに関連付けられたリスク関数を持つ有向非巡回グラフとしてパイプラインをモデル化し、遅延および計算コストの制約下で残留リスクを最小化する問題を形式的に定義する。主要な2つのアルゴリズムを開発した。(i) 期待限界リスクに基づくセキュリティ検査の動的優先順位付けメカニズム、(ii) 実行テレメトリに基づいてパイプラインをリアルタイムで再構成する適応的オーケストレータである。GitLab CI/CD、Kubernetes、およびSAST、DAST、SCA、IaCスキャナなどのツール上に本フレームワークを実装し、480万行のコードを含む312の企業リポジトリで評価を行った。結果は、従来の静的パイプラインと比較して、パイプライン全体の実行時間が平均37.4%短縮され、推定残留リスクが52.1%低減し、偽陽性が41.3%減少したことを示した。さらに、平均修正時間（MTTR）が29.6%改善した。これらの結果は、DevSecOpsオーケストレーションの数学的形式化がセキュリティと運用効率の同時向上を可能にし、本分野の科学的確立に寄与することを示している。
Read paper →DevSecOpsクラウドネイティブ DevSecOps パイプラインにおけるセキュリティ制御の適応的オーケストレーションのための形式的かつ定量的に評価されたアーキテクチャ
TITLE: クラウドネイティブ DevSecOps パイプラインにおけるセキュリティ制御の適応的オーケストレーションのための形式的かつ定量的に評価されたアーキテクチャ ABSTRACT: DevOps実践によって推進されたソフトウェア提供サイクルの加速は、構造的なパラドックスをもたらした。すなわち、開発時間の短縮は攻撃対象領域と脆弱性導入頻度を拡大させた。DevSecOps はその応答として現れ、継続的インテグレーションおよび継続的デリバリ（CI/CD）パイプライン全体にセキュリティ制御を統合する。しかし、既存アプローチは依然として主としてヒューリスティックに留まり、厳密な形式化、体系的な脅威モデリング、包括的な定量評価を欠いている。本研究では、リスクの数学的モデリングと多目的最適化に基づく、クラウドネイティブ DevSecOps パイプラインにおけるセキュリティ制御の適応的オーケストレーションのための形式的アーキテクチャを提案する。我々の方法論は、静的解析（SAST）、動的解析（DAST）、依存関係スキャン（SCA）、Infrastructure as Code（IaC）解析、および MITRE ATT&CK に基づく振る舞い検知を組み合わせ、リスク関数 R = P · I · E に基づく優先順位付け機構によって統合する。ここで P は悪用可能性確率、I は影響度、E は時間的露出を表す。我々は GitLab CI、SonarQube、OWASP ZAP、Trivy、および Open Policy Agent を用いて Kubernetes 上にプロトタイプを実装し、42 個の実運用マイクロサービス（約180万行のコード）で評価した。その結果、平均修復時間（MTTR）が 37.4% 低減し、本番環境における重大脆弱性（CVSS ≥ 9.0）が 29.1% 減少し、パイプラインの平均オーバーヘッドは 11.6% 未満であった。従来の DevSecOps パイプラインと比較して、優先順位付け精度が 22.8% 向上し、実行可能な偽陽性が 31.5% 減少した。我々は、セキュリティ・オーケストレーションの数学的形式化が、厳密性と俊敏性の両立を可能にし、提供スループットを損なうことなくリスク低減に関する測定可能な保証を与えることを示した。本研究は、(i) DevSecOps のための連続的リスクの形式モデル、(ii) 複雑性解析を伴う適応的オーケストレーションアルゴリズム、(iii) 再現可能な定量データに基づく大規模実証評価、を提供する。
Read paper →DevSecOpsタイトル: ポリシー・アズ・コードに基づくDevSecOpsパイプラインの形式的オーケストレーションと定量的評価：測定可能なセキュリティ保証付き
タイトル: ポリシー・アズ・コードに基づくDevSecOpsパイプラインの形式的オーケストレーションと定量的評価：測定可能なセキュリティ保証付き 要旨: DevOpsプラクティスの採用拡大はソフトウェア開発ライフサイクルを変革した一方で、高度に自動化されたパイプライン、一時的なインフラストラクチャ、サードパーティ依存関係の継続的統合を導入することにより、攻撃対象領域を著しく拡大させた。SolarWinds や Log4Shell（CVE-2021-44228）のような近年のサプライチェーン侵害事案は、開発フローに統合されたセキュリティ制御が存在しない場合、結果として広範なシステム全体への影響を招くことを示している。本研究では、コンプライアンスとリスク低減に関する測定可能な保証を備えた、ポリシー・アズ・コード（Policy-as-Code）に基づくDevSecOpsのための形式的枠組みを提案する。本アプローチは、パイプラインを有向非巡回グラフとして形式的にモデル化し、宣言的制約によるセキュリティ特性の検証、ならびにCVSS指標とMITRE ATT&CKの脅威インテリジェンスに基づく脆弱性優先順位付けの適応的メカニズムを組み合わせる。 我々は、Kubernetes環境、GitLab CI/CD、およびOpen Policy Agent（OPA）、Trivy、SonarQubeといったツールと統合されたプロトタイプを実装した。システムを、合計380万行のコードと12,614個のコンテナイメージを含む42の実際のオープンソース・プロジェクトで評価した。その結果、平均修復時間（MTTR）が平均47.3%短縮され、本番環境における重大脆弱性の導入が62.8%減少し、パイプライン全体時間に対する実行オーバーヘッドは8.4%未満であることが示された。さらに、セキュリティ特性の形式化により、デプロイ段階以前にポリシー違反の91.6%を検出できることを示した。 我々は、DevSecOpsパイプラインにおける軽量な形式検証と適応的優先順位付けの体系的統合が、運用の機動性を損なうことなく、セキュリティに関して定量的に大きな向上をもたらし、高速環境における安全なソフトウェア工学のための測定可能かつ再現可能なパラダイムを確立する、と結論づける。
Read paper →DevSecOps攻撃面の削減に関する定量的保証を伴うDevSecOps制御の適応的オーケストレーションのための形式的に基礎づけられたアーキテクチャ
TITLE: 攻撃面の削減に関する定量的保証を伴うDevSecOps制御の適応的オーケストレーションのための形式的に基礎づけられたアーキテクチャ ABSTRACT: DevOpsパイプラインの急速な採用は、ソフトウェアサプライチェーン、エフェメラルな構成、および適切に計測されていない継続的インテグレーションに関連するベクトルを導入することにより、企業システムの攻撃面を大幅に拡大させた。DevSecOpsパラダイムは、セキュリティ機構を開発ライフサイクルに継続的に統合することを提案しているが、現実的な攻撃者と再現可能な指標の下でその有効性を定量化する形式モデルは文献上十分に整備されていない。本研究では、運用上の制約下での最適化問題としてモデル化された、測定可能なリスク削減のための明示的な数学的基礎を備えた適応的DevSecOpsアーキテクチャを提案する。パイプラインを各段階に関連付けられたリスク関数を持つ有向非巡回グラフ G = (V,E) として形式化し、CVSSの重大度とMITRE ATT&CKデータを用いて推定したエクスプロイト可能性で重み付けされた脆弱性に基づく、攻撃面 A(G) の複合指標を定義する。アーキテクチャをKubernetes環境上に実装し、GitLab CI、SonarQube、OWASP ZAP、Trivy、HashiCorp Vaultなどのツールと統合した。120のオープンソースプロジェクトおよび18の企業向けアプリケーションで評価し、合計320万行のコードを対象とした。結果は、重大な脆弱性（CVSS ≥ 9.0）への露出が平均47.3%減少し、平均修復時間（MTTR）が38.6%短縮され、ビルド全体時間における運用オーバーヘッドが8.4%未満であることを示した。静的なDevSecOpsパイプラインと比較して、我々の適応的メカニズムは、エクスプロイト可能な設定不備の予防的ブロッキング率において、統計的に有意な改善（p < 0.01）を示した。以上より、定量的な形式化はDevSecOps導入の経済的妥当性を示すだけでなく、高頻度デプロイ環境においてセキュリティ制御を動的に最適化することを可能にすると結論づける。
Read paper →DevSecOps脅威指向型継続的インテグレーションと定量的リスク優先順位付けを備えた、形式的に検証可能なDevSecOpsオーケストレーションアーキテクチャ
1. 序論
Read paper →DevSecOpsDevSecOpsパイプラインにおけるセキュリティコントロールの形式的オーケストレーション：脅威モデリング、多目的最適化および継続的検証に基づくフレームワーク
さらにDevSecOpsの実践への移行により、ソフトウェア提供サイクルは大幅に短縮され、高度に分散した本番環境において1日に複数回のデプロイが可能となった。この加速は競争力の向上をもたらす一方で、CI/CDパイプライン、中間成果物、コンテナレジストリ、ならびにサードパーティ依存関係に関連する攻撃面を拡大させる。2026年時点では、大規模言語モデル（LLM）を含む人工知能コンポーネント、外部APIベースのサービス、そしてCNAPP（Cloud-Native Application Protection Platform）パラダイムの下で統合されたクラウドネイティブ基盤の導入により、この状況はさらに複雑化している。 Log4Shell脆弱性（CVE-2021-44228）は、推移的依存関係の体系的な検証の欠如と、サプライチェーン内での脆弱な成果物の急速な伝播により、数百万のアプリケーションに影響を与えた（NATIONAL VULNERABILITY DATABASE, 2021）。SolarWindsの侵害は、ビルドプロセス中に悪意のあるコードが挿入されたことを示し、MITRE ATT&CKのT1195（Supply Chain Compromise）に整合する技術を特徴づけた（MITRE, 2023）。Codecovに関わるインシデントは、継続的インテグレーションスクリプトを介した
Read paper →DevSecOps継続的形式検証を伴うリスク指向DevSecOps：CI/CDパイプラインにおける適応的セキュリティオーケストレーションのための定量モデル
ソフトウェア開発ライフサイクルを構造的に変革した。2026年時点で、組織は高度に自動化されたCI/CDパイプラインを運用しており、これらはしばしばCNAPP（Cloud-Native Application Protection Platforms）プラットフォームやeBPFベースの可観測性メカニズムと統合されている。しかし、commitからdeployまでの時間の圧縮は攻撃対象領域を拡大させ、既知の脆弱性や設定ミスの露出確率を高める。 Verizon Data Breach Investigations Report 2025によれば、侵害の大半はいまだに既知の脆弱性および設定ミスの悪用によって引き起こされている（VERIZON, 2025）。Log4Shell（CVE-2021-44228）やSpring4Shell（CVE-2022-22965）のようなインシデントは、複雑な依存関係チェーンと文脈的優先順位付けの欠如が大規模な悪用を助長することを示した。MITRE ATT&CKの文脈では、T1190（Exploit Public-Facing Application）のような技術が依然として優勢である（MITRE, 2024）。 DevSecOpsパラダイムはshift-left原則を提唱しているものの、実務における主流のアプローチは依然としてSAST、DAST、SCAス
Read paper →DevSecOpsエビデンス指向DevSecOps：文脈的リスクに基づく優先順位付けと継続的検証を備えた大規模ソフトウェアデリバリーパイプラインのための形式的アーキテクチャ（2026）
の実践により推進されるデジタルトランスフォーメーションは、企業システムの攻撃対象領域を大幅に拡大させた。Data Breach Investigations Report は、侵害事例の相当な割合が既知の脆弱性の悪用、認証情報の侵害、およびソフトウェアサプライチェーンの不備に関係していることを示している（VERIZON, 2023）。SolarWindsの侵害やLog4Shell脆弱性（CVE-2021-44228）の悪用といった広く文書化されたインシデントは、ビルド、パッケージング、または依存関係管理の過程で導入された欠陥が、分散エコシステム全体に体系的に伝播し得ることを示している。 DevSecOpsパラダイムは、ソフトウェア開発ライフサイクル（SDLC）の初期段階からセキュリティ統制を組み込むことでDevOpsを発展させたものとして登場した。これは Security Development Lifecycle（HOWARD; LIPNER, 2006）、NIST SP 800-53 Rev.5 の統制（NIST, 2020）、および Secure Software Development Framework – SSDF（NIST SP 800-218）（NIST, 2022）と整合する。しかしながら、多くの実装は依然として、OWASP の推奨（OWASP, 2021）に従
Read paper →